Arista NDR (Network Detection and Response) is het beveiligingsplatform van Arista Networks dat netwerkverkeer doorlopend analyseert om aanvallers op te sporen die al binnen zijn. Het platform kijkt naar wat er in het netwerk zelf gebeurt. Welke apparaten praten met elkaar, welke gebruiker benadert ineens systemen waar hij nooit eerder kwam, welke applicatie gedraagt zich anders dan vorige week? Door die vragen continu te stellen aan enorme hoeveelheden netwerkdata herkent
Arista NDR afwijkend gedrag en mogelijke aanvallen in een vroeg stadium, liefst voordat er schade ontstaat. Arista gebruikt daarvoor machine learning, neurale netwerken en de vastgelegde kennis van ervaren security-onderzoekers. De technologie is afkomstig van Awake Security, het bedrijf dat Arista in 2020 overnam.
Dat klinkt als iets wat elk securityproduct belooft. Het verschil zit in de bron. Een netwerk liegt minder makkelijk dan een endpoint, want een aanvaller die zich verplaatst, data verzamelt of contact zoekt met een command-and-control-server, laat sporen na in het verkeer.
Hoe werkt Arista NDR in de praktijk?
Het platform bestaat uit twee onderdelen: de AVA Sensors en de AVA Nucleus. AVA staat voor Autonomous Virtual Assist, de AI-laag die door het hele platform loopt.
De sensors verzamelen de data. Ze zijn er in verschillende vormen: als losse hardware-appliance, als virtuele machine, als sensor in cloudomgevingen en als software op Arista-switches. Die laatste variant is interessant voor organisaties die al Arista in hun netwerk hebben. Sinds 2022 kunnen campusswitches met PoE, zoals de 720XP-serie, via een software-upgrade van Arista EOS zelf als sensor fungeren. Er zijn dan geen extra kastjes of netwerk-taps nodig op elke locatie, en ook geen agents op laptops, printers of camera’s. De sensors bekijken het volledige pakket, van de onderste netwerklagen tot en met de applicatielaag, en sturen een gerichte selectie door naar de Nucleus. Volgens Arista blijft de ruwe data op de plek waar die is verzameld, wat prettig is als u met de AVG en interne privacyregels rekening moet houden.
De AVA Nucleus is het analysecentrum. U kunt die on-premises draaien of als SaaS-dienst afnemen.
Wat doet de AI van Arista NDR met al die netwerkdata?
De kern is EntityIQ, een kennisgraaf die elk apparaat, elke gebruiker en elke applicatie in het netwerk in kaart brengt. Ook als een apparaat van IP-adres wisselt, houdt het platform bij om welk apparaat het gaat en wat het eerder heeft gedaan. Vergelijkbare apparaten worden gegroepeerd op basis van hun gedrag. Gedraagt één IP-camera zich ineens anders dan de andere vijftig, dan valt dat op. Arista combineert hiervoor gesuperviseerde en ongesuperviseerde machine learning met technieken als clustering en outlier-detectie.
Daarbovenop zit Adversarial Modeling. Dat is een manier om bekende werkwijzen van aanvallers, de tactieken en technieken uit het MITRE ATT&CK-framework, vast te leggen als detectiemodellen. Analisten kunnen er ook eigen modellen mee bouwen voor risico’s die specifiek zijn voor hun organisatie. Het resultaat voor het securityteam is geen stortvloed aan losse meldingen, maar een samenhangend beeld van een incident: welke apparaten erbij betrokken zijn, welke protocollen zijn gebruikt en in welke volgorde alles gebeurde.
Van detectie naar respons en forensisch onderzoek
Detecteren is één ding. Iemand moet er ook iets mee doen. Arista NDR legt per apparaat een forensische tijdlijn vast, zodat een analist kan terugzien wat er voor, tijdens en na een verdachte gebeurtenis is gebeurd. Waar nodig is het onderliggende netwerkverkeer beschikbaar als bewijs. Bij een ransomware-incident is dat goud waard, want de vraag of er data is weggesluisd bepaalt een groot deel van uw vervolgstappen, inclusief een eventuele meldplicht.
Voor de respons zelf werkt Arista NDR vooral samen met de tools die u al heeft. Er zijn koppelingen met EDR-platformen als CrowdStrike Falcon en SentinelOne, waarmee een analist een besmet endpoint met één klik in quarantaine zet. Daarmee stopt laterale beweging binnen het netwerk. Ook met Zscaler en Microsoft Sentinel zijn koppelingen beschikbaar. Een volledig zelfstandig systeem dat op eigen houtje apparaten van het netwerk haalt, is het dus niet. De beslissing ligt doorgaans nog bij een mens, met het platform als voorbereider. Eerlijk gezegd vinden wij dat in de meeste omgevingen ook verstandig. Begin met handmatige bevestiging en automatiseer pas als u de detecties in uw eigen netwerk vertrouwt.
Waarom kiezen organisaties voor Arista NDR?
De grootste winst zit in zichtbaarheid op plekken waar andere tools blind zijn. Denk aan apparaten zonder agent: IoT-sensoren, IP-telefoons, printers, beveiligingscamera’s, medische apparatuur of machines in een productieomgeving. Die apparaten draaien geen endpointbeveiliging, maar ze communiceren wel via het netwerk. Arista NDR ziet ze dus wel.
Een tweede reden is versleuteld verkeer. Het grootste deel van het netwerkverkeer is tegenwoordig versleuteld, en alles ontsleutelen is kostbaar en juridisch niet altijd wenselijk. NDR kan veel afleiden uit het gedrag van verbindingen en de metadata eromheen, zonder de inhoud te hoeven lezen.
Ten derde past het platform in een zero trust-strategie. Arista baseert zijn zero trust-model op NIST 800-207, met drie pijlers: zichtbaarheid, continue diagnose en handhaving. NDR vult de middelste pijler in. Voor organisaties die onder NIS2 vallen, raakt dit direct aan de eis om incidenten tijdig te kunnen detecteren en melden.
En dan het praktische argument voor bestaande Arista-klanten. Als uw campus netwerk al op Arista draait, zit de sensor in de switch die u toch al heeft. Beheer van die switches loopt via CloudVision Portal, waardoor netwerk- en securityteams met dezelfde infrastructuur werken.
Voor welke organisatie is Arista NDR een logische keuze?
NDR levert het meest op in omgevingen met veel apparaten die u niet zelf beheert, meerdere locaties en een securityteam dat al wat volwassenheid heeft. Wees wel realistisch. Een NDR-platform zonder iemand die de meldingen opvolgt, is een dure alarminstallatie zonder meldkamer. Heeft u die capaciteit niet in huis, combineer het dan met SOC as a Service, zodat er dag en nacht analisten meekijken. Arista biedt daarnaast zelf een Managed NDR-dienst aan.
Arista NDR implementeren met SolidBE
SolidBE is partner van Arista Networks en implementeert, ondersteunt en beheert Arista-producten in uiteenlopende omgevingen. We kijken eerst waar de sensors het meeste opleveren, hoe het platform aansluit op uw bestaande EDR en SIEM, en wie de meldingen straks opvolgt. Pas daarna praten we over licenties. Wilt u weten wat Arista NDR in uw netwerk zichtbaar kan maken? Bel ons op 088 88 99 000, dan plannen we een verkennend gesprek.
